Fahrzeug-Malware: Hacker nutzen DoFun-Update-Kanal für Android-Infektionen
Veröffentlicht am: 24.08.2026 um 23:44 Uhr | Redaktion boerse-global.de
Sicherheitsexperten des Cybersicherheitsunternehmens Kaspersky haben eine neuartige Bedrohungslage für die Automobilindustrie identifiziert. Erstmals wurde eine gezielte Malware-Kampagne nachgewiesen, die explizit auf Android-basierte Infotainment-Systeme, sogenannte Head-Units, in Fahrzeugen abzielt. Die Infektion erfolgt dabei über einen hochsensiblen Bereich der Fahrzeugsoftware: die offiziellen Update-Kanäle des Herstellers.
Die Angreifer nutzen laut den Untersuchungen den legitimen TWCore-Update-Mechanismus von Head-Units des Herstellers DoFun aus. Über diesen eigentlich für Over-the-Air-Aktualisierungen (OTA) vorgesehenen Pfad gelangt ein Dropper mit der Bezeichnung „JarService“ in die Fahrzeugsysteme. Diese Methode der Kompromittierung gilt als besonders kritisch, da sie das Vertrauensverhältnis zwischen Fahrzeughersteller und Endkunde direkt aushebelt.
Mehrstufige Infektionskette und technischer Aufbau
Die identifizierte Schadsoftware folgt einer komplexen, mehrstufigen Infektionskette. Nach der initialen Platzierung von JarService werden weitere Komponenten wie „BillingMain“ und ein Proxy-Dienst namens „zhima-proxy“ nachgeladen. Die Experten von Kaspersky berichten, dass die Malware über insgesamt neun verschiedene Remote-Befehle verfügt. Diese ermöglichen es den Hintermännern, weitreichende Kontrolle über die betroffenen Systeme auszuüben.
Ein markantes technisches Merkmal der Kampagne ist die hohe Frequenz der Kommunikation mit den Kontrollservern der Angreifer. Die infizierten Systeme führen etwa alle 90 Minuten einen Check-in durch, um neue Anweisungen entgegenzunehmen oder entwendete Daten zu übermitteln.
Angesichts der zunehmenden Professionalisierung von Cyberangriffen auf Android-Systeme wird ein grundlegender Schutz für alle Nutzer immer wichtiger. Dieser kostenlose Ratgeber zeigt Ihnen in fünf einfachen Schritten, wie Sie Ihre Geräte wirksam gegen Hacker und Datenmissbrauch absichern. 5 sofort umsetzbare Schutzmaßnahmen entdecken
Primäre Ziele der Kampagne sind nach aktuellem Kenntnisstand die Durchführung von Werbebetrug (Ad Fraud) sowie die Nutzung der Fahrzeuge als Proxy-Relais für andere Internetaktivitäten. Auch der Diebstahl sensibler Daten wird als Teil des Funktionsumfangs aufgeführt.
Zuweisung zur MoYu Group und Parallelen zu IoT-Malware
Die Sicherheitsforscher schreiben die Kampagne der sogenannten MoYu Group zu, die in Branchenkreisen auch unter dem Namen BadBox bekannt ist. Interessante Parallelen zeigen sich bei der Analyse der Infrastruktur: Die für die Fahrzeug-Angriffe genutzten Server und Methoden ähneln stark jenen, die zuvor bei großflächigen Infektionen von preiswerten Android-TV-Boxen beobachtet wurden.
Trotz der Schwere des Vorfalls gibt es Einschränkungen bei der Verbreitung. Die Malware besitze keine Mechanismen zur Selbstverbreitung, was eine unkontrollierte Ausbreitung von Fahrzeug zu Fahrzeug verhindert.
Wer sich mit der Sicherheit seiner Android-basierten Geräte befasst, sollte die Bedeutung regelmäßiger Aktualisierungen nicht unterschätzen. Erfahren Sie in diesem kostenlosen Leitfaden, wie Sie Sicherheitslücken schließen und Malware dauerhaft verhindern. Kostenlosen Sicherheits-Ratgeber herunterladen
Zudem betreffen die Angriffe nach vorliegenden Informationen ausschließlich die fest verbauten Android-Head-Units von DoFun. Nutzer von Smartphone-Spiegelungsdiensten wie Android Auto sind nach derzeitigem Stand nicht von dieser spezifischen Kampagne betroffen.
Hersteller reagiert mit Sicherheitsfix
Erste Anzeichen für eine speziell auf Fahrzeug-Infotainmentsysteme zugeschnittene Schadsoftware wurden bereits im Frühsommer dieses Jahres beobachtet. Inzwischen hat die Entwicklung eine neue Stufe der Professionalisierung erreicht, was die aktuelle Warnung der Cybersicherheitsexperten ausgelöst hat.
Der betroffene Hersteller DoFun hat auf die Entdeckung reagiert und die Existenz einer Schwachstelle in seinem Update-Kanal bestätigt. Das Unternehmen gab bekannt, dass bereits ein Fix für die Sicherheitslücke bereitgestellt wurde, um den Infektionsweg über den TWCore-Mechanismus zu schließen.
Experten raten Besitzern entsprechender Systeme dringend dazu, die neuesten Sicherheitsaktualisierungen einzuspielen, um die Integrität ihrer Fahrzeugsysteme wiederherzustellen.
